yamata::memo

OpenVPN＆セキュリティ情報

2013-01-21

OpenVPN Connect iOS FAQ (1)

ラベル: , ,
iOS用OpenVPN Connectの起動後に表示される画面からFAQが参照できます。そのFAQの日本語訳を掲載します。


.ovpnファイルのインポートがうまくいきません

.ovpnファイルのインポートに関連して、基本的な点がいくつかあります。
  • iTunesを使って.ovpnファイルをインポートする場合には、.ovpnファイルから参照されるca、cert、keyファイルすべても同時にiTunesのファイル共有ウィンドウにドロップする必要があります。
  • プロファイルはUTF-8（またはASCII）で記述されている必要があり、ファイルサイズは256KB以下でなければなりません。
  • 証明書や鍵のデータを.ovpnファイルに組み込む「統合フォーマット（unified format）」を使用することを検討してください。これにより、プロファイルに関連したすべてのデータを1つのファイルにまとめることができるので、プロファイルの扱いが容易になります。たとえば、従来までのOpenVPNプロファイルは以下のような形で証明書や鍵をファイルで指定していました。 
    ca ca.crt
cert client.crt
key client.key
    これら各ファイルの内容を、XMLに似た書き方でOpenVPNプロファイルに直接埋め込んでしまうことができます。これが統合フォーマットです。 
    <ca>
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
</ca>
<cert>
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
</cert>
<key>
  -----BEGIN RSA PRIVATE KEY-----
  [...]
  -----END RSA PRIVATE KEY-----
</key>
    OpenVPNでの証明書や鍵の処理を行わない別の方法は、後述するiOSキーチェインを使用する方法です。

IPV6はサポートされていますか？

はい。このOpenVPNアプリケーションはサーバーと同様、IPv6トランスポートとIPv6トンネルをサポートしています。

パスワードを保存しても安全ですか？

はい。デバイスレベルのパスワードが強固であれば安全です。このアプリケーションは認証および秘密鍵のパスワードをiOSキーチェインに保管します。iOSキーチェインはデバイスレベルのパスワードによって保護されています。

「パスワードを保存する」スイッチが無効になることがあるのはなぜですか？

「パスワードを保存する」スイッチは通常は有効になっていますが、以下の条件では無効になります。
  • チャレンジ/レスポンス型（ワンタイムパスワードなど）のプロファイルの場合、固定のパスワードを保存しておく意味がないため、無効になります。
  • プロファイル内に以下のOpenVPNディレクティブが含まれている場合には、このスイッチが無効になります。 
    setenv ALLOW_PASSWORD_SAVE 0

tapデバイスがサポートされていないのはなぜですか？

現時点において、iOS VPN APIがtunデバイスのみサポートしているためです。これはiOSプラットフォームの制約です。このアプリケーションを使ってtapベースのトンネルに接続しようとすると、「現在レイヤー3のトンネルのみサポートされています」というエラーが表示されます。